文/張承亮 寧欣 郭軍 李俊

2018年3月，F(xiàn)acebook 5000萬用戶，未經(jīng)用戶許可被Cambridge Analytica用于政治廣告。

2017年11月，五角大樓AWS S3，配置錯誤，18億條公民相關(guān)信息暴露；

2017年11月，趣店或遭內(nèi)部員工泄露，數(shù)百萬學生數(shù)據(jù)泄露

2017年10月，雅虎或遭入侵，導致30億帳號泄露；

2017年9月，信用機構(gòu)Equifax網(wǎng)站，遭入侵，近半用戶信息泄漏

圖1：貴陽煙草局網(wǎng)絡(luò)數(shù)據(jù)泄漏防護

對此，國外相繼發(fā)布了相關(guān)法律，如歐盟的《一般數(shù)據(jù)保護條例GDPR》，俄羅斯《個人數(shù)據(jù)保護法案》，歐盟委員會《隱私盾協(xié)議》，《聯(lián)邦隱私法案》，我國《中華人民共和國網(wǎng)絡(luò)安全法》也于2017年6月1日起實施，其中多項法律條款都與數(shù)據(jù)安全密切相關(guān)，內(nèi)容如下：

第二十一條 國家實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)運營者應(yīng)當按照網(wǎng)絡(luò)安全等級保護制度的要求，履行下列安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。

第四十條 網(wǎng)絡(luò)運營者應(yīng)當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度。

第四十五條依法負有網(wǎng)絡(luò)安全監(jiān)督管理職責的部門及其工作人員，必須對在履行職責中知悉的個人信息、隱私和商業(yè)秘密嚴格保密，不得泄露、出售或者非法向他人提供”。

國家煙草專賣局《煙草行業(yè)計算機信息網(wǎng)絡(luò)安全保護規(guī)定》早在1998年6月1日就已實施，其第五條“任何單位和個人不得利用行業(yè)網(wǎng)絡(luò)危害國家安全和行業(yè)安全，不得泄露國家秘密和行業(yè)秘密，不得侵犯國家的、社會的、行業(yè)的、集體的利益和個人的合法權(quán)益，不得從事違法犯罪活動”。

本文圍繞數(shù)據(jù)防泄漏主題，首先介紹了數(shù)據(jù)泄漏防護的含義，并對敏感信息進行了分析，然后，對數(shù)據(jù)泄漏問題進行了深入分析，最后給出了煙草行業(yè)的具體數(shù)據(jù)泄漏防護實踐案例。

1 數(shù)據(jù)防泄漏定義

根據(jù)Gartner公司給出的定義描述，數(shù)據(jù)防泄漏DLP（Data Loss/Leakage Prevention/Protection）是指基于深度內(nèi)容識別技術(shù)，對傳輸中、存儲中、使用中的數(shù)據(jù)進行檢測，識別敏感數(shù)據(jù)，依據(jù)預先定義的策略，實施特定響應(yīng)，敏感數(shù)據(jù)泄漏達到有效防護效果的解決方案。

2 敏感信息分析

敏感信息是指不當使用或未經(jīng)授權(quán)被人接觸或修改后，會產(chǎn)生不利于國家和組織的負面影響和利益損失，或不利于個人依法享有的個人隱私的所有信息。

敏感信息根據(jù)其信息種類的不同，可以分為個人敏感信息、商業(yè)敏感信息、國家秘密。由于涉及國家秘密的信息系統(tǒng)通常采用專用網(wǎng)絡(luò)、系統(tǒng)、管理方式進行保護，泄露風險相對較低。

2.1 個人敏感信息

中華人民共和國最高人民法院、最高人民檢察院對“公民個人信息”進行了解釋，即：是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。

工信部《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》中則將個人信息分為一般信息和敏感信息。一般信息則是指可以在網(wǎng)絡(luò)或者媒體上根據(jù)個人基本情況而獲取的信息。個人敏感信息，是指“一旦泄露、非法提供或濫用可能危害人身和財產(chǎn)安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息”

2.2 商業(yè)敏感信息

《中華人民共和國反不正當競爭法》(1993年12月1日正式實施):商業(yè)敏感信息指“不為公眾所知悉、能為權(quán)利人帶來經(jīng)濟利益、具有實用性并經(jīng)權(quán)利采取保密措施的技術(shù)信息和經(jīng)營信息”。其中，技術(shù)信息指“權(quán)利人采取了保密措施保護不為公眾所知曉（未取得工業(yè)產(chǎn)權(quán)保護）的，具有經(jīng)濟價值的技術(shù)知識，如：設(shè)計、程序、產(chǎn)品配方、制作工藝等”。經(jīng)營信息指“權(quán)利人采取了保密措施不為公眾所知曉的具有經(jīng)濟價值的有關(guān)商業(yè)、管理等方面的方法、經(jīng)驗或其他信息，如：企業(yè)的戰(zhàn)略規(guī)劃、管理方法、商業(yè)模式等”。

3 數(shù)據(jù)泄漏問題分析

數(shù)據(jù)是開展煙草信息化建設(shè)的基礎(chǔ)，數(shù)據(jù)是否安全將直接影響煙草數(shù)據(jù)安全的價值實現(xiàn)。

煙草信息化建設(shè)和發(fā)展過程中，員工可能將經(jīng)常訪問的數(shù)據(jù)存儲在個人電腦中，如果缺乏相應(yīng)的防泄漏措施，那么數(shù)據(jù)很容易通過終端渠道或網(wǎng)絡(luò)應(yīng)用泄漏出去，從而給貴陽煙草局帶來巨大的經(jīng)濟和聲譽損失。

數(shù)據(jù)泄漏風險主要涉及以下三個方面：

3.1 數(shù)據(jù)傳輸中泄漏

由于煙草系統(tǒng)目前數(shù)據(jù)傳輸?shù)那烙卸喾N，通過網(wǎng)絡(luò)如郵件、網(wǎng)盤、webmail、ftp等方式泄露，這種泄露方式更多的是內(nèi)部員工有意或無意從計算機上外發(fā)造成泄密。

3.2 數(shù)據(jù)使用中泄漏

使用過程包括泄漏情況包括：通過U盤、移動存儲設(shè)備拷貝數(shù)據(jù)；通過打印機打印帶出公司或者通過傳真機、截屏、藍牙文件傳輸、即時通信(微信、QQ、釘釘、企業(yè)微信等)、網(wǎng)絡(luò)共享、應(yīng)用程序文件訪問外發(fā)等方式也是數(shù)據(jù)泄露的重要的層面。

3.3 數(shù)據(jù)存儲中泄漏

很多敏感信息從產(chǎn)生開始就存放在重要的服務(wù)器，由于缺乏對敏感數(shù)據(jù)的管理，管理人員不清楚敏感數(shù)據(jù)的分布情況及使用情況，導致敏感數(shù)據(jù)從產(chǎn)生和存儲的過程中被非法或者無意間泄露。

4 煙草行業(yè)的數(shù)據(jù)泄漏防護實踐

隨著貴陽煙草局信息化發(fā)展，對數(shù)據(jù)泄漏防護的需求日益迫切。根據(jù)實際業(yè)務(wù)的安全需求，構(gòu)建了以網(wǎng)絡(luò)數(shù)據(jù)泄漏防護為核心的數(shù)據(jù)泄漏防護方案（圖1）。

該方案選擇了天融信數(shù)據(jù)防泄漏產(chǎn)品，該產(chǎn)品技術(shù)核心是深度內(nèi)容識別技術(shù)。初級識別，包括關(guān)鍵字、正則；自動識別，包括標識符、結(jié)構(gòu)數(shù)據(jù)指紋、文檔指紋、圖片指紋；智能識別，包括機器分類和機器聚類，可以對敏感信息或商業(yè)敏感信息實施更加深入和有效識別分析，同時，當發(fā)現(xiàn)數(shù)據(jù)泄漏行為是可以快速實施響應(yīng)，如記錄、告警、加密等，從而降低敏感信息泄露風險。

說明：如圖1所示，方案在貴陽煙草局的網(wǎng)絡(luò)出口部署了一臺數(shù)據(jù)防泄漏系統(tǒng)網(wǎng)絡(luò)DLP（Data Loss Protection），通過旁路鏡像方式接入到網(wǎng)絡(luò)中。

方案效果分析：網(wǎng)絡(luò)DLP通過對網(wǎng)絡(luò)流量（SMTP、HTTP/S、FTP、HTTP）進 行 深度分析，精確識別判斷流量的協(xié)議，并從協(xié)議中提取出文本信息，根據(jù)預置策略記錄相關(guān)事件。同時，管理人員可以通過事件報表進行后期的審計管理，定位出收發(fā)件人的郵箱，IP，事件發(fā)生的時間，觸發(fā)了哪條策略，事件違規(guī)的詳細信息等。管理人員還可以根據(jù)不同業(yè)務(wù)部門數(shù)據(jù)的流轉(zhuǎn)設(shè)置不同的數(shù)據(jù)保護策略，實現(xiàn)對貴陽煙草局各業(yè)務(wù)部門外發(fā)數(shù)據(jù)的識別與保護。除了可以對單位電子郵件、HTTP上傳（包括Web Mail、論壇、微博發(fā)帖、網(wǎng)盤上傳等）以及其他網(wǎng)絡(luò)應(yīng)用實施有效的監(jiān)控和審計。該方案部署后有效地增強了數(shù)據(jù)泄漏防護能力，同時也增強了該單位的信息化安全合規(guī)的能力。

5 總結(jié)

數(shù)據(jù)防泄漏是個非常復雜的系統(tǒng)工程，必要的技術(shù)手段是前提，最后的落地依賴于公司相關(guān)數(shù)據(jù)安全管理策略的執(zhí)行，其次，單靠某一種或某一類的產(chǎn)品來解決貴陽煙草局內(nèi)部數(shù)據(jù)安全問題是不可行的，必須從數(shù)據(jù)全生命周期著手，基于數(shù)據(jù)的每個階段的特性進行安全防護，才是徹底解決數(shù)據(jù)安全問題的唯一途徑。